Tout ce qu’il faut savoir sur les données per­son­nelles

Le très discuté RGPD ré­gle­mente la pro­tec­tion des données au niveau européen et national depuis mai 2018. Son contenu se concentre en par­ti­cu­lier sur les données per­son­nelles, que les lé­gis­la­teurs et les con­som­ma­teurs cherchent à protéger au maximum. D'autre part, de nom­breuses en­tre­prises voient leur potentiel con­cur­ren­tiel, largement basé sur le Big Data, menacé par les ré­gle­men­ta­tions plus strictes. Mais qu'est-ce qui relève ef­fec­ti­ve­ment des données per­son­nelles, et quels droits les personnes con­cer­nées peuvent-elles invoquer lorsque leurs in­for­ma­tions privées sont col­lec­tées, stockées et traitées ul­té­rieu­re­ment à des fins éco­no­miques ?

En ce qui concerne la dé­fi­ni­tion des données per­son­nelles, il existe un large consensus parmi les juristes européens : il s'agit de toutes les données et in­for­ma­tions qui per­met­tent de connaître l'iden­tité d'une personne physique. Ce point de vue exclut donc les personnes morales et les sociétés, à moins que les associés et les gérants ne soient la même personne physique. En outre, les données per­son­nelles peuvent être dis­tin­guées en deux ca­té­go­ries : celles qui sont clai­re­ment associées à une personne, et celles qui ne peuvent être assignées à une personne précise qu'avec des in­for­ma­tions com­plé­men­taires jus­ti­fiables.

Les deux types de données ap­par­tien­nent de la même manière à la catégorie de pro­tec­tion des données. Depuis le 25 mai 2018, cependant, le RGPD est, dans tous les états de l'Union eu­ro­péenne, la loi sur la pro­tec­tion des données of­fi­ciel­le­ment valide, qui surpasse la lé­gis­la­tion nationale. Le nouveau règlement formule plus clai­re­ment et étend con­si­dé­ra­ble­ment les mesures de pro­tec­tion des données per­son­nelles, par exemple avec des obli­ga­tions de dé­cla­ra­tion plus strictes en cas de vol de données. En outre, le RGPD formule des lignes di­rec­trices pour la pro­tec­tion des données dans les tech­no­lo­gies in­no­vantes, qui doivent encore être dé­ve­lop­pées, et pour les­quelles le mot-clé est Privacy by Design.

Grâce à des clauses d'ou­ver­ture, le RGPD réduit ou renforce également certains aspects des lois na­tio­nales sur la pro­tec­tion des données. Des ré­gle­men­ta­tions plus strictes s'ap­pli­quent en par­ti­cu­lier à la collecte, au stockage et à l'uti­li­sa­tion des données per­son­nelles par les en­tre­prises et les autorités. En outre, le règlement fournit désormais une dé­fi­ni­tion gé­né­ra­le­ment ap­pli­cable du terme, qui a jusqu'à présent été in­ter­pré­tée de manière très dif­fé­rente dans toute l'Europe.

Si, en revanche, les données ne peuvent pas être at­tri­buées à une personne précise car elles sont to­ta­le­ment anonymes, il n'est pas né­ces­saire de respecter les règles de pro­tec­tion des données. Le problème se pose à nouveau avec les données dites pseu­do­nymes, qui peuvent également être utilisées pour définir de qui il s’agit si l'on dispose des con­nais­sances sup­plé­men­taires né­ces­saires. En cas de doute, le principe de prudence est donc toujours appliqué : comme il est parfois difficile de dis­tin­guer les données per­son­nelles des données non per­son­nelles, il faut toujours commencer par les premières afin de garantir la pro­tec­tion des in­for­ma­tions po­ten­tiel­le­ment sensibles. Par exemple, les autorités de pro­tec­tion des données supposent que même les adresses IP dy­na­miques ap­par­tien­nent aux données per­son­nelles, puis­qu'elles peuvent être clai­re­ment at­tri­buées à l'uti­li­sa­teur Internet par l’in­ter­mé­diaire des four­nis­seurs d'accès et de services.

Outre les exemples d'in­for­ma­tions per­son­nelles déjà énumérés, l'article 9 de la loi sur la pro­tec­tion des données définit également des ca­té­go­ries par­ti­cu­lières de données per­son­nelles relatives aux personnes physiques. Il s'agit en par­ti­cu­lier de :

• l’origine ethnique et cultu­relle
• les opinions po­li­tiques, re­li­gieuses et phi­lo­so­phiques
• l’état de santé
• l’orien­ta­tion sexuelle
• l’ap­par­te­nance syndicale
• les in­for­ma­tions gé­né­tiques (par exemple, les analyses d'ADN) et les données bio­mé­triques (par exemple, les pho­to­gra­phies et les em­preintes digitales)

En raison de la nature explosive de ces in­for­ma­tions, les règles de sécurité sont beaucoup plus strictes. En con­sé­quence, le trai­te­ment de ca­té­go­ries par­ti­cu­lières de données à caractère personnel est en principe interdit en vertu de l'article 9, pa­ra­graphe 1, du RGPD, sauf si la personne concernée y a ex­pli­ci­te­ment consenti (une dé­cla­ra­tion de con­sen­te­ment pour le trai­te­ment de données per­son­nelles générales n'est pas suf­fi­sante), ou si ces in­for­ma­tions pré­sen­tent un intérêt public légitime, par exemple dans le cadre de pour­suites pénales. Alors que la no­mi­na­tion d'un délégué pro­fes­sion­nel à la pro­tec­tion des données est nor­ma­le­ment une question qui doit être examinée par le directeur général, elle est obli­ga­toire pour le trai­te­ment de données per­son­nelles par­ti­cu­lières.

Tout le monde sait désormais que les grandes en­tre­prises du Web telles que Google et Facebook re­cueil­lent à grande échelle des données per­son­nelles sur leurs uti­li­sa­teurs. Ils les utilisent prin­ci­pa­le­ment pour placer des pu­bli­ci­tés per­son­na­li­sées, et générer ainsi des profits éco­no­miques. Mais le Big Data constitue également un facteur con­cur­ren­tiel important, sinon le plus important pour la plupart des autres en­tre­prises à but lucratif. Le nombre d’en­tre­prises Web pour les­quelles les données per­son­nelles cons­ti­tuent la base du modèle éco­no­mique sont en effet en aug­men­ta­tion constante. Les données sont prin­ci­pa­le­ment utilisées pour optimiser les struc­tures de vente pour per­son­na­li­ser les mé­ca­nismes de marketing.

Ceci contraste avec des con­som­ma­teurs de mieux en mieux informés qui craignent, à juste titre, de devenir to­ta­le­ment trans­pa­rents en créant des profils d'uti­li­sa­teurs détaillés sur les sites qu’ils fré­quen­tent.

Cette méfiance à l'égard des en­tre­prises, mais aussi des autorités, est également illustrée par les résultats d'une étude publiée en mars 2018 par le Boston Con­sul­ting Group (BCG), qui montre qu’en France, entre 75% et 87% des con­som­ma­teurs sont méfiants à l’idée de partager en ligne leurs données per­son­nelles, cette méfiance étant pro­por­tion­nelle à l’âge.

Les cas ré­cur­rents de vol et de mauvaise uti­li­sa­tion des données avec le phishing et l'uti­li­sa­tion de chevaux de Troie ali­men­tent toujours plus cette peur. En effet, plus des in­for­ma­tions sensibles sur un individu circulent, plus le danger associé à son existence fi­nan­cière et sociale est élevé.

Les dis­po­si­tions relatives à la pro­tec­tion des données res­pon­sa­bi­li­sent donc les instances sus­cep­tibles de conserver des données à mauvais escient : les en­tre­prises et les autorités sont lé­ga­le­ment tenues de garantir la pro­tec­tion des in­for­ma­tions con­cer­nant leurs uti­li­sa­teurs et clients. Cela implique le respect des principes et pratiques énoncés ci-après dans le RGPD :

• Légalité du trai­te­ment des données : la collecte, le stockage, l'uti­li­sa­tion et la trans­mis­sion de données à caractère personnel à des tiers n'est autorisée qu'avec le con­sen­te­ment explicite de la personne concernée.
• Trans­pa­rence : les en­tre­prises et les autorités sont soumises à une clause de res­pon­sa­bi­lité, une obli­ga­tion de do­cu­men­ta­tion et de preuves complètes. Sur toute demande d'une personne concernée, elles sont tenues de fournir des in­for­ma­tions sur l’ensemble des pro­cé­dures de trai­te­ment relatives à ses données per­son­nelles.
• Utilité : l'uti­li­sa­tion des données doit toujours être justifiée et ne doit pas être ar­bi­traire.
• Mi­ni­mi­sa­tion des données : les or­ga­ni­sa­tions sont tenues de ne re­cueil­lir que les données né­ces­saires à leur fonc­tion­ne­ment et de ne conserver qu’une faible quantité d'in­for­ma­tions.
• Exac­ti­tude du trai­te­ment des données : les données con­ser­vées doivent toujours être correctes et à jour ou mises à jour le cas échéant.
• Limite du stockage : il existe une obli­ga­tion régulière de supprimer les données si elles ne sont plus né­ces­saires aux fins d'une or­ga­ni­sa­tion, si elles ont été stockées il­lé­ga­le­ment ou si une période de li­mi­ta­tion pré­dé­fi­nie a expiré.
• Intégrité et con­fi­den­tia­lité : les en­tre­prises et les autorités doivent prendre de larges mesures de pro­tec­tion interne des données. Outre l'uti­li­sa­tion de pro­grammes de cryptage et de logiciels de sécurité, cela comprend également la formation détaillée des employés chargés du trai­te­ment des données.

L’article 83, pa­ra­graphe 5 du RGPD prévoit une amende pouvant aller jusqu'à 20 millions d'euros ou 4% du chiffre d'af­faires annuel d'une en­tre­prise en cas de vio­la­tions de ces principes. Cette règle incite donc les en­tre­prises à se conformer aux lignes di­rec­trices du règlement mais ne peut pas toujours garantir une sécurité absolue pour les données à caractère personnel. C'est pourquoi il ap­par­tient en fin de compte aux con­som­ma­teurs de protéger leur vie privée de leur propre ini­tia­tive. L'éco­no­mie de données est donc aussi un principe efficace pour surfer sur Internet. En outre, il est re­com­mandé de supprimer ou au moins rendre anonyme les données per­son­nelles, l'adresse et les données bancaires saisies après avoir effectué un achat en ligne. Enfin, il est également important de connaître vos droits vis-à-vis des en­tre­prises et des autorités.

Le RGPD prévoit en par­ti­cu­lier trois droits es­sen­tiels qui doivent être invoqués par les personnes con­cer­nées dont les données à caractère personnel sont col­lec­tées, stockées et traitées :

En vertu de l'article 15 du RGPD, les personnes con­cer­nées ont également un droit d'accès aux en­tre­prises et aux autorités aux­quelles elles four­nis­sent leurs données per­son­nelles. Les questions ex­pli­cites suivantes sont utiles pour avoir une bonne vue d'en­semble de l'étendue et de la procédure de stockage des données :

• Quelles sont les données en­re­gis­trées me con­cer­nant ?
• Où ces données sont-elles stockées ?
• Comment ces données ont-elles été re­cueil­lies ?
• Dans quel but ont-elles été stockées ?
• À qui mes données ont-elles été trans­mises ?

Bien que les en­tre­prises et les autorités soient tenues par la loi de fournir ces in­for­ma­tions, dans certains cas, il faut composer avec la mauvaise volonté ou même le har­cè­le­ment lorsque l’on attend des réponses à ces questions. C'est ici que la per­sé­vé­rance paie : en invoquant vos droits, en fixant un délai serré et en menaçant de consulter l'au­to­rité res­pon­sable de la pro­tec­tion des données, vous ob­tien­drez les in­for­ma­tions que vous êtes lé­ga­le­ment en droit de connaître. Et si vous n'êtes pas d'accord avec la manière dont les données sont col­lec­tées, si les in­for­ma­tions sont in­cor­rectes ou périmées, ou si elles ont été stockées ou trans­mises il­lé­ga­le­ment, vous pouvez faire appel à votre droit de rec­ti­fi­ca­tion, de sup­pres­sion et de blocage des données (article 15 premier pa­ra­graphe du RGDP).

Veuillez prendre con­nais­sance des mentions légales en vigueur sur cet article.